问题标签 [cfqueryparam]

我基本上想允许这样的事情：

自cf_datatables_records定义标签（子）是一个子查询/记录集，将在cf_datatables自定义标签（父）中使用。这将是执行上述操作时的 SQL 结果：

cfqueryparam不幸的是，ColdFusion 在将标签传递给自定义标签之前对其进行解析，从而导致：

Context validation error for tag cfqueryparam. The tag must be nested inside a cfquery tag.

如果我省略它确实有效，cfqueryparam但这显然是不可接受的。解析查询参数也是如此。

知道如何解决这个问题吗？

我想防止 SQL 注入攻击。我们有一个表单，要求输入用户的 AD 用户名和密码。那么我们的处理代码如下所示：

我永远不会在没有 cfqueryparam 的情况下运行带有用户输入的查询（以包装用户名和密码输入），但是类似的东西甚至可用于 cfldap 吗？（如果这有所作为，我们将使用 CF10。）

更新：

为了澄清，当我尝试这个时，我收到以下错误：

标记 CFLDAP 的属性验证错误。它不允许属性 CFSQLTYPE、VALUE。

这是我的冷融合代码：

这个coldfusion代码生成的sql是下一个：

我不明白为什么 cfqueryparam 返回“？” 而不是数字：“ls.country_id = ?” ps Tnx 请注意，问题已解决

我正在使用CFLoop. 我CFSaveContent用来遍历变量并构建查询，然后我在CFQueryusing中执行它PreserveSingleQuotes。这很好用，但这种方法的问题是我不能使用CFQueryParam，所以我的查询很容易被注入。想知道这个问题是否有任何解决方法？

更新：

所以在这个例子中，你可以看到我不能使用cfqueryparam，arguments.leve因为它会崩溃PreserveSingleQuotes

所以我有一个在不同文件中构造的字符串，作为我需要绑定的全局变量（遗留代码）传递给查询：

有没有办法在这里使用 cfqueryparam 查询字符串？还是有其他方法可以保护自己免受 sql 注入？谢谢你的帮助！

我有点困惑我应该为 Oracle 使用哪种数据类型，Number(*,0)具有零刻度和任何精度？

我应该使用哪一个CF_SQL_INTEGER？CF_SQL_FLOAT为什么？

我正在使用 ColdFusion 并尝试创建一个函数，该函数允许我获取特定帐户中特定列的值（每个帐户都是它自己的记录/行）。

像这样的功能可以正常工作：

但我真正想要的是一个函数，它允许我指定从哪个列名读取，并且不需要制作一堆几乎相同的 CF 函数，它们只是具有不同的硬编码 SELECT 参数。我认为它应该看起来像这样，但是我在实际读取我认为它应该返回的单个字符串时遇到了麻烦。

我认为您可以在括号符号中使用变量，例如getColumn[#columnName#]或者getColumn[columnName]因为有人在评论中提到它。但是当我自己尝试使用变量时，它并没有按预期工作。我收到此错误：

The value returned from the getColumnValueFromAccount function is not of type string. If the component name is specified as a return type, it is possible that either a definition file for the component cannot be found or is not accessible.

知道当我想获得 cfquery 的单个结果时应该采取什么路线，但我没有在查询的 SELECT 部分使用硬编码的列名吗？通常这个过程很简单，但是当你的列名是一个变量时，情况似乎有点不同。

我正在寻找一种工具，它将通过我的冷融合代码文件并在需要的地方添加 cfqueryparam。我发现很多会扫描并告诉我我需要在哪里进行更改，但我在http://www.webapper.com/blog/index.php/2008/7/22/ColdFusion-SQL-Injection找到了一个非常漂亮的接近我正在寻找的东西，但它没有添加 cfsqltype （或 maxlength）。我想知道这是否仍然可以防止没有 cfsqltype 的 sql 注入？如果需要（我知道它在技术上是可选的）你知道另一个工具可以做到这一点吗？我认为确保order by子句中的任何变量也被参数化是很重要的，这个工具不会检查。

我正在考虑屈从并更改http://www.webapper.com/blog/index.php/2008/7/22/ColdFusion-SQL-Injection的代码来完成这一切，但我认为这将是明智的先问。

是否有我可以增加的字符限制cf_sql_longvarchar，或者可能是替代方法？它似乎在 43,679 个字符或 40-45 kb 左右被截断。

我有带有字段的表单checkbox字段。在我的cfc页面上，我想strucktKeyExists在运行插入/更新查询时检查复选框表单字段是否存在。如果值/字段不存在，我的null属性也会设置为真/假。cfqueryparam这是我的代码示例：

所以当我提交我的表单checkbox字段时unchecked。我收到一条错误消息：

我不确定为什么会出现此消息。在我设置StrucktKeyExist()我cfqueryparam的代码之前工作正常。如果有人看到我的代码在哪里失败，请告诉我。谢谢！